CVE-2026-63667
Təsvir
ApostropheCMS açıq mənbəli Node.js məzmun idarəetmə sistemidir. Versiya 3.6.2-dək, packages/import-export/lib/formats/gzip.js faylındakı import-export modulu, aposAttachments.json faylındakı hücumçunun nəzarət etdiyi _id, name və extension sahələrindən istifadə edərək qoşma mənbə yolunu konstruksiya edir, lakin həll edilmiş yolun çıxarılan qoşmalar kataloqunun daxilində qaldığını təmin etmir. Bu, autentifikasiya olunmuş kontribütora xüsusi hazırlanmış arxivi idxal etməyə, icazə verilmiş genişlənməyə malik host faylını oxumağa və kopyalanmış faylı autentifikasiyasız yükləmələr URL-də dərc etməyə imkan verir. Bu problem 3.6.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- @apostrophecms/import-export3.6.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @apostrophecms/import-exportnpm | v < 3.6.2, v ≤ 3.6.1 | 3.6.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.